CVE-2026-116189

Rclone przed wersją 1.75.2 zawiera podatność polegającą na ujawnieniu poświadczeń w backendzie b2, która ujawnia aktywny token autoryzacyjny konta i klucze SSE-C przy przekierowaniach HTTP z hostów --b2-download-url. Atakujący mogą zaobserwować przekierowanie z HTTPS na HTTP w obrębie tego samego hosta, aby przechwycić token B2 w postaci jawnej, lub otrzymać przekierowania między hostami ujawniające klucze szyfrowania klienta SSE-C.

Rclone przed wersją 1.75.2 zawiera podatność na path traversal w funkcji translateLink lokalnego backendu, która usuwa sufiks .rclonelink ze ścieżki po sprawdzeniu zawierania, więc nazwa może wskazywać poza katalog docelowy. Atakujący mogą umieścić katalog o nazwie ...rclonelink w drzewie źródłowym synchronizowanym z --links i --metadata, aby zmienić właściciela, znaczniki czasu i xattrs katalogu nadrzędnego miejsca docelowego.

Rclone od wersji 1.52.0 przed 1.75.2 zawiera podatność na cross-site request forgery w lokalnym wywołaniu zwrotnym OAuth backendu pCloud, które wyłącza sprawdzanie stanu i ufa parametrowi hostname. Złośliwe strony internetowe mogą wysłać żądanie bezstanowe do portu 53682 podczas autoryzacji, wprowadzając tokeny i hosty API atakującego, aby późniejsze transfery trafiały do atakującego.

Rclone od wersji 1.64.0 przed 1.75.2 zawiera podatność na obejście uwierzytelniania w serve webdav, która pozwala nieuwierzytelnionym atakującym pominąć uwierzytelnianie poprzez wysyłanie żądań OPTIONS. Atakujący mogą sondować dowolne ścieżki i porównywać wartości nagłówka Allow, aby ustalić, czy pliki lub kolekcje istnieją, co umożliwia enumerację przestrzeni nazw.

rclone od wersji 1.37 przed 1.74.2 zawiera podatność na server-side request forgery, która pozwala nieuwierzytelnionym atakującym przekierowywać żądania backendu http i netstorage, podając podwójny ukośnik w katalogu głównym istniejącego nazwanego remote poprzez --rc-serve. Atakujący mogą wysyłać żądania HEAD/GET do wybranych przez siebie hostów, aby odczytać odpowiedzi, przechwycić skonfigurowane niestandardowe nagłówki lub uzyskać ważne sygnatury żądań NetStorage.

Rclone przed wersją 1.75.2 zawiera podatność path traversal w serve webdav, która pozwala nieuwierzytelnionym atakującym zapisywać poza udostępnionym katalogiem głównym poprzez wysłanie niezwalidowanego komponentu ścieżki '..'. Atakujący mogą wysłać MKCOL /.., aby utworzyć węzeł VFS, a następnie PUT, MOVE, COPY lub MKCOL, aby tworzyć, nadpisywać lub usuwać pliki innych dzierżawców.

rclone w wersjach od v1.56.0 przed v1.75.2 zawiera podatność na ujawnienie informacji w backendzie WebDAV, która przekazuje skonfigurowane przez operatora niestandardowe nagłówki poświadczeń do innych hostów przy przekierowaniach HTTP 3xx. Atakujący kontrolujący lub wpływający na przekierowanie między hostami może przechwycić nagłówki, takie jak X-Auth-Token ustawiony przez --webdav-headers, i odtworzyć je wobec oryginalnej usługi WebDAV.

rclone serve s3 w wersjach od 1.75.0 przed 1.75.2 zawiera podatność na przepełnienie liczb całkowitych w rozliczaniu pamięci reorder-memory dla multipart, która omija skonfigurowany limit bufora. Atakujący mogą otworzyć dwa równoczesne żądania PUT bieżącej części deklarujące ogromne długości, aby przepełnić licznik int64 i utrzymać w pamięci części poza kolejnością, wyczerpując host.

Rclone od wersji 1.68.0 przed 1.75.2 zawiera podatność na obejście autoryzacji w serve s3 --auth-proxy, która pozwala uwierzytelnionym dzierżawcom manipulować uploadami multipart innych dzierżawców, odwołując się do ich identyfikatorów uploadu. Atakujący, którzy poznają bucket, obiekt i identyfikator uploadu ofiary, mogą wstrzykiwać części, kończyć lub przerywać trwające uploady oraz przeglądać metadane uploadów i obiektów między dzierżawcami.

rclone to program wiersza poleceń do synchronizacji plików i katalogów z różnymi dostawcami chmury. Od wersji 1.70.0 do 1.75.1 interfejs serve/start RC akceptuje ustawienia proxyOpt.AuthProxy dla poszczególnych serwerów, ale konstruktory FTP i S3 w cmd/serve/ftp/ftp.go oraz cmd/serve/s3/server.go nieprawidłowo sprawdzają globalną wartość proxy.Opt.AuthProxy. Gdy wartość globalna jest pusta, lokalny dla żądania proxy uwierzytelniające jest ignorowane: FTP przechodzi do stałego systemu plików z użytkownikiem anonymous i dowolnym hasłem, a S3 z AuthKey udostępnia stały system plików RC zamiast backendu wybranego przez proxy. Dedykowane serwery wiersza poleceń konfigurujące opcję globalną nie są dotknięte. Problem naprawiono w wersji 1.75.1.